Sie öffnen die Website, und sie lädt. Der Monitor meldet sie als ausgefallen, und als Grund hat er HTTP 403 festgehalten. Beides stimmt. Die Website funktioniert für Sie, und sie weist den Monitor ab.

Ein 403 heißt, der Server hat die Anfrage verstanden und führt sie nicht aus. Anders als ein 503 oder eine Zeitüberschreitung ist das kein Zeichen dafür, dass die Website Mühe hat. Etwas hat entschieden, dass diese Anfrage nicht durchkommen soll.

Warum ein Monitor blockiert wird

Ein Monitor ist ein Roboter. Er ruft nach Zeitplan eine Seite ab, von Servern, die nicht im Land des Besuchers stehen, und ohne Browser dahinter. Viele Schutzmaßnahmen sind genau dafür gebaut, diesen Datenverkehr zu stoppen:

Was blockiert Wie es sich zeigt
Bot-Schutz oder eine verwaltete Challenge bei einem CDN oder Firewall-Dienst (Cloudflare ist das gängige Beispiel) Statt Ihrer Seite eine Challenge-Seite oder „Ihr Browser wird überprüft“; die Antwort ist ein 403
Eine Regel nach Land oder Netzwerk Blockiert Anfragen aus Rechenzentren oder aus bestimmten Ländern
Eine Ratenbegrenzung Beginnt abzulehnen, nachdem von einer Adresse eine bestimmte Zahl an Anfragen kam
Ein Sicherheitsmodul im Webserver oder im Hosting-Panel Blockiert Anfragen, die automatisiert aussehen, oder eine fehlende Browserkennung
Eine Sperrliste für Adressen, zum Beispiel von einem Werkzeug zur Einbruchsabwehr Blockiert die Adresse des Monitors, nachdem sie markiert wurde
Authentifizierung Ein 401 oder 403 auf einer Seite, die eine Anmeldung braucht. Der Monitor meldet sich nicht an

Nichts davon bedeutet, dass Ihre Website defekt ist. Es bedeutet, dass der Schutz für einen legitimen Monitor etwas zu gut funktioniert.

Die Ursache bestätigen

Ändern Sie Firewall-Regeln nicht auf Verdacht. Sehen Sie zuerst nach.

1. Lesen, was der Monitor erhalten hat

Zeigt Ihr Monitor die Antwort an, sehen Sie sich den Inhalt an. Eine Seite, die von einer Sicherheitsprüfung, einer Challenge oder einer blockierten Anfrage spricht, deutet auf eine Firewall. Ein schlichtes „Forbidden“ des Webservers deutet auf eine Serverregel. Eine Anmeldeseite deutet auf Authentifizierung.

2. Vom eigenen Terminal aus vergleichen

curl -sS -o /dev/null -D - https://example.com/

Liefert auch das ein 403, während Ihr Browser funktioniert, hängt die Blockade davon ab, wie die Anfrage aussieht, nicht davon, wo Sie sind. Senden Sie dann eine Anfrage, die wie ein Browser aussieht:

curl -sS -o /dev/null -D - -A "Mozilla/5.0" https://example.com/

Kommt die zweite durch und die erste nicht, wertet eine Regel die Kennung aus, die der Client sendet. Sehen Sie sich auch die Header der Antwort an. Ein Header oder Cookie, der ein CDN oder einen Firewall-Dienst nennt, verrät, welche Ebene antwortet.

3. Das eigene Log der Firewall lesen

Das ist der verlässlichste Schritt. Dienste dieser Art führen ein Log blockierter und herausgeforderter Anfragen, samt der Regel, die gegriffen hat. Suchen Sie den Zeitpunkt der fehlgeschlagenen Prüfungen des Monitors und sehen Sie, welche Regel zutraf. Der Name der Regel sagt Ihnen, was zu ändern ist.

4. In die andere Richtung testen

Geben Sie den Monitor mit einer eng gefassten Regel frei (siehe unten), führen Sie die Prüfung erneut aus und sehen Sie, ob sie besteht. Wenn ja, lag die Blockade auf der Firewall-Seite. Schlägt sie weiter fehl, sehen Sie sich die nächste Ebene an: die eigenen Regeln des Servers, danach die Anwendung.

Beheben, ohne die Website zu schwächen

Ziel ist, einen bekannten Besucher durchzulassen, nicht den Schutz abzuschalten.

  • Geben Sie die Adressen des Monitors frei. Die meisten Monitoring-Dienste veröffentlichen die Adressen, von denen ihre Prüfungen kommen. Nehmen Sie sie in eine Freigaberegel auf, oder weisen Sie die Firewall an, den Schutz, der den Monitor blockiert, nur für diese Adressen zu überspringen. Veröffentlicht Ihr Dienst keine Liste, fragen Sie den Support. UptimeWire veröffentlicht seine Liste und die Schritte für verbreitete Dienste: siehe So lassen Sie UptimeWire-Prüfungen durch Ihre Firewall.
  • Verlassen Sie sich nicht allein auf die Kennung. Eine Regel, die alles durchlässt, was sich als Monitor ausgibt, kann jeder nutzen. Eine Regel auf den Adressbereich ist viel schwerer zu fälschen.
  • Begrenzen Sie den Umfang. Erlauben Sie dem Monitor, eine öffentliche Adresse zu erreichen, etwa die Startseite oder eine Health-Seite, nicht die ganze Website.
  • Verwenden Sie eine eigene Health-Adresse. Eine kleine öffentliche Seite, die mit 200 antwortet und keine privaten Daten enthält, lässt sich am einfachsten freigeben und am günstigsten prüfen.
  • Achten Sie auf Ratenbegrenzungen. Wenn Sie oft von mehreren Standorten aus prüfen, können die zusammengenommenen Anfragen eine Ratenbegrenzung auslösen. Geben Sie die Adressen des Monitors auch dort frei.
  • Halten Sie die Änderung schriftlich fest. Eine Freigaberegel, an die sich niemand erinnert, ist später schwer zu überprüfen.

Warning

Schalten Sie nicht den Bot-Schutz oder die Firewall für die ganze Website ab, nur damit ein Monitor besteht. Das ist ein größeres Risiko als ein Monitor, der 403 meldet.

Wenn das 403 echt ist

Manchmal hat der Monitor recht. Ein Deployment, das Dateiberechtigungen verändert hat, ein eingeschaltetes Sicherheitsmodul oder eine absichtlich gesperrte Adresse erzeugen alle ein 403, das auch Besucher sehen. Schlagen auch Ihre eigenen Prüfungen vom Terminal und aus einem anderen Netzwerk fehl, behandeln Sie es als echtes Problem und sehen Sie sich die Regeln und Berechtigungen auf dem Server an.

Was ein Monitor hier kann und was nicht

UptimeWire ruft eine öffentliche Adresse von außen ab und liest die Antwort. Eine endgültige Antwort von 200 bis 399 gilt als funktionierend. Alles andere gilt als Fehler, auch 401 und 403. Eine fehlgeschlagene Prüfung wird wiederholt, und nach drei fehlgeschlagenen Prüfungen in Folge wird ein Vorfall eröffnet. Der Grund wird festgehalten, sodass Sie „HTTP 403“ sehen und wann es begann.

UptimeWire meldet sich nicht an, beantwortet keine Challenge und umgeht keine Firewall. Eine Seite hinter einem Login zu überwachen erfordert einen anderen Ansatz oder eine öffentliche Health-Adresse, die sie vertritt.

Checkliste

  • Öffnet sich die Seite im Browser und in curl?
  • Was steht im Antworttext: eine Challenge, ein schlichtes Forbidden oder ein Login?
  • Welche Regel hat laut Log der Firewall gegriffen?
  • Sind die Adressen des Monitors freigegeben, und nur für die Adresse, die Sie überwachen?
  • Haben Sie den Monitor freigegeben, ohne den Schutz abzuschalten?
  • Besteht der Monitor nach der Änderung einen ganzen Tag lang, auch zu Stoßzeiten?